CISA добавила в каталог KEV уязвимости Adobe Commerce и Google Brotli

Две уязвимости добавили в каталог KEV

Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло две новые уязвимости в каталог известных эксплуатируемых уязвимостей (KEV). Решение основано на доказательствах их активной эксплуатации злоумышленниками. Уязвимости представляют значительный риск для федеральных учреждений.

Adobe Commerce и Google Brotli получили идентификаторы CVE

В каталог KEV добавили CVE-2026-48356, касающуюся уязвимости неконтролируемой загрузки файлов опасного типа в Adobe Commerce и Magento. Также внесли CVE-2026-111497, связанную с уязвимостью непроверенного возвращаемого значения в Google Brotli. Эти типы уязвимостей часто используются злоумышленниками для атак.

Федеральные агентства должны управлять рисками

Оперативная директива CISA 26-04 устанавливает требования к управлению уязвимостями для федеральных учреждений исполнительной власти. Директива подчеркивает важность каталога KEV и требует от агентств приоритетной ликвидации уязвимостей высокого риска. К ним относятся уязвимости из каталога KEV, которые позволяют получить полный контроль над системой после эксплуатации. Действия по устранению уязвимостей низкого риска можно отложить. Директива также определяет ожидания по проверке компрометации систем до установки исправлений. Хотя директива обязательна только для федеральных агентств, CISA рекомендует всем организациям применять управление уязвимостями на основе рисков. Агентство продолжит добавлять в каталог KEV уязвимости, соответствующие критериям.

Организации должны сообщать об уязвимостях

CISA призывает организации сообщать об обнаруженных эксплуатируемых уязвимостях, не включенных в каталог KEV. Для добавления в каталог уязвимость должна иметь идентификатор CVE, доказательства эксплуатации и четкие рекомендации по устранению. Форма для подачи заявок доступна на сайте CISA.